Il trattamento dei dati personali dei dipendenti (cartelle sanitarie, dati biometrici, videosorveglianza, GPS sui veicoli aziendali) richiede la designazione di incaricati del trattamento, la redazione di informative specifiche e il rispetto del Reg. UE 2016/679 (GDPR). Ti aiutiamo a verificare gli obblighi applicabili alla specifica realtà aziendale.
Contenuti revisionati da consulenti tecnici
Verificati da professionisti del settore
Copertura nazionale con consulenti sul territorio
Presenti in tutta Italia
Fonti normative tracciate e aggiornate
Riferimenti sempre verificabili
Documenti adattati alla tua attività
Personalizzati sul caso specifico
La situazione
La gestione dei dati personali dei lavoratori nel contesto della sicurezza sul lavoro è un'area normativa complessa che vede sovrapporsi due corpi normativi: il D.Lgs. 81/08 (che impone la raccolta e la conservazione di dati sanitari, di rischio e formativi) e il Reg. UE 2016/679 (GDPR) (che disciplina le modalità di trattamento di tali dati).
I trattamenti più critici riguardano: le cartelle sanitarie e di rischio gestite dal medico competente, il registro esposti a cancerogeni o agenti biologici, la videosorveglianza nei luoghi di lavoro(soggetta anche all'art. 4 L. 300/1970 — Statuto dei Lavoratori), la geolocalizzazione dei veicoli aziendali (GPS), e i dati biometrici per il controllo accessi o la rilevazione presenze.
Le violazioni possono attrarre sanzioni dal Garante Privacyfino a 20 milioni di euro o al 4% del fatturato mondiale, oltre a responsabilità disciplinari e civili. La conformità al GDPR in ambito HR è un'area di crescente attenzione ispettiva.
Cosa rischi
- Sanzioni amministrative Garante Privacy: art. 83 GDPR — fino a 10 milioni di euro o 2% del fatturato per violazioni organizzative (mancanza di registro, informative assenti); fino a 20 milioni o 4% per violazioni dei principi fondamentali (art. 5 GDPR) o dei diritti degli interessati.
- Videosorveglianza non conforme: installazione di sistemi di controllo a distanza senza accordo sindacale o autorizzazione INL viola l'art. 4 L. 300/1970; le immagini raccolte non sono utilizzabili in sede disciplinare o giudiziaria.
- GPS senza base giuridica: la geolocalizzazione dei veicoli aziendali usata per controllare i dipendenti senza idonea informativa e base giuridica viola il GDPR e l'art. 4 Statuto dei Lavoratori; il Garante ha sanzionato numerose aziende per questa fattispecie.
- Dati sanitari non protetti: il trattamento di dati sanitari senza misure di sicurezza adeguate (art. 32 GDPR) espone a sanzioni e responsabilità civile verso i lavoratori.
- Mancanza di DPIA: per trattamenti ad alto rischio (videosorveglianza sistematica, biometria, profilazione) la mancata esecuzione della Valutazione d'Impatto (art. 35 GDPR) è di per sé una violazione sanzionabile.
Cosa devi fare ora
Verificare la nomina del DPO e mappare i trattamenti
Verificare se l'azienda è obbligata a nominare il DPO (Data Protection Officer): obbligatorio per enti pubblici, per chi tratta dati sanitari su larga scala o effettua monitoraggio sistematico degli interessati su larga scala (art. 37 GDPR). Mappare tutti i trattamenti di dati dei dipendenti nel Registro delle Attività di Trattamento (art. 30 GDPR).
Predisporre o aggiornare l'informativa privacy ai dipendenti
Redigere o aggiornare l'informativa ex art. 13 GDPR per ogni categoria di trattamento (dati di lavoro, dati sanitari, videosorveglianza, GPS, dati biometrici). L'informativa deve indicare finalità, base giuridica, titolare, eventuali destinatari, periodo di conservazione e diritti dell'interessato.
Verificare la base giuridica e la conformità della videosorveglianza
Per ogni sistema di videosorveglianza, verificare: (1) presenza di accordo sindacale o autorizzazione INL ex art. 4 L. 300/1970; (2) cartelli informativi visibili; (3) periodo di conservazione non superiore a 24-48 ore salvo esigenze specifiche documentate; (4) informativa ex art. 13 GDPR affissa all'ingresso dell'area sorvegliata.
Gestire correttamente GPS e localizzazione veicoli
Per i GPS sui veicoli aziendali: verificare la base giuridica (obbligo legale, contratto o interesse legittimo del titolare), redigere informativa specifica, limitare la localizzazione alle esigenze operative documentate, evitare il monitoraggio continuativo dei dipendenti al di fuori dell'orario di lavoro.
Valutare la necessità di DPIA per trattamenti ad alto rischio
Eseguire la Valutazione d'Impatto sulla Protezione dei Dati (DPIA, art. 35 GDPR) per trattamenti ad alto rischio: videosorveglianza sistematica, dati biometrici per il controllo accessi, profilazione sistematica dei dipendenti, trattamenti su larga scala di dati sanitari.
Aggiornare le istruzioni agli incaricati del trattamento
Designare formalmente gli incaricati del trattamento (HR, RSPP, responsabile IT) con istruzioni scritte sulle modalità di trattamento dei dati dei dipendenti. Verificare eventuali contratti DPA (Data Processing Agreement) con fornitori esterni che trattano dati per conto del titolare.
Tempi e priorità
| Azione | Quando | Priorità |
|---|---|---|
| Verifica nomina DPO (se obbligatoria) | Immediato se non ancora verificato | Urgente |
| Verifica conformità videosorveglianza (accordo sindacale/INL) | Immediato — sistemi non conformi vanno sospesi o adeguati | Urgente |
| Predisposizione/aggiornamento informativa art. 13 GDPR ai dipendenti | Entro la settimana | Alta |
| Mappatura trattamenti e Registro Attività di Trattamento | Entro la settimana | Alta |
| Verifica base giuridica GPS veicoli aziendali | Entro la settimana | Alta |
| Valutazione DPIA per trattamenti ad alto rischio | Entro 30 giorni | Media |
| Aggiornamento istruzioni incaricati del trattamento | Entro 30 giorni | Media |
| Verifica sicurezza tecnica dei sistemi (art. 32 GDPR) | Entro 30 giorni | Media |
Documenti che servono
Documenti da predisporre o aggiornare
- Informativa privacy art. 13 GDPR (per ogni tipologia di trattamento: dati di lavoro, dati sanitari, videosorveglianza, GPS)
- Registro delle Attività di Trattamento (art. 30 GDPR)
- Nomina DPO (se obbligatoria o facoltativa)
- Accordo sindacale o autorizzazione INL per videosorveglianza (art. 4 L. 300/1970)
- Cartelli informativi videosorveglianza affissi nelle aree sorvegliate
- Istruzioni agli incaricati del trattamento (HR, RSPP, IT)
- Contratti DPA con fornitori che trattano dati per conto del titolare
- DPIA (Valutazione Impatto) per trattamenti ad alto rischio
- Policy aziendale uso dispositivi aziendali e dati personali
Come ti possiamo aiutare
Affianchiamo il datore di lavoro nella mappatura dei trattamenti di dati dei dipendenti in ambito sicurezza sul lavoro, nella redazione delle informative ex art. 13 GDPR, nella verifica della conformità dei sistemi di videosorveglianza e GPS, e nella predisposizione del Registro delle Attività di Trattamento. Ti aiutiamo a verificare gli obblighi applicabili e a costruire una struttura di conformità documentale solida.
Per situazioni complesse (trattamento di dati biometrici, videosorveglianza in contesti ad alto rischio, data breach coinvolgente dati sanitari dei dipendenti) coordiniamo l'intervento del DPO e, se necessario, del legale specializzato in diritto della protezione dei dati.
Servizio dedicato
Abbonamento consulenza annuale
Presidio tecnico continuativo su sicurezza sul lavoro e HACCP: aggiornamenti documentali, scadenze e supporto operativo.
Scopri il servizioApprofondisci
Domande frequentiFAQ
Il datore di lavoro può accedere alle cartelle sanitarie dei dipendenti?
La videosorveglianza in azienda richiede il consenso dei dipendenti?
Il GPS sui veicoli aziendali è lecito ai sensi del GDPR?
Le cartelle sanitarie dei dipendenti vanno conservate per quanto tempo?
Riferimenti normativi
- GDPR art. 5 — principi relativi al trattamento dei dati personali
- GDPR art. 13 — informativa all'interessato
- GDPR art. 30 — registro delle attività di trattamento
- GDPR art. 35 — valutazione d'impatto sulla protezione dei dati (DPIA)
- GDPR art. 37 — designazione del responsabile della protezione dei dati (DPO)
- Art. 4 L. 300/1970 — videosorveglianza e controllo a distanza
- D.Lgs. 81/08 art. 25 — obblighi medico competente (cartelle sanitarie)
- D.Lgs. 81/08 art. 243 — conservazione cartelle sanitarie (cancerogeni)
Fonti normative
- Reg. UE 2016/679 (GDPR) — artt. 5, 13, 30, 35, 37, 83
- Art. 4 L. 20 maggio 1970 n. 300 (Statuto dei Lavoratori) — controllo a distanza
- D.Lgs. 30 giugno 2003 n. 196 — Codice Privacy (modificato dal D.Lgs. 101/2018)
- D.Lgs. 9 aprile 2008 n. 81 — artt. 25, 243 (cartelle sanitarie)
- Garante Privacy — Linee guida su videosorveglianza (2010 e aggiornamenti)
- Garante Privacy — Provvedimenti su GPS e geolocalizzazione dipendenti
Vuoi gestire questa situazione con un professionista al tuo fianco?
Ti aiutiamo a verificare gli obblighi applicabili, predisporre i documenti e gestire i rapporti con gli organi di vigilanza.